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Abstract of DE4441 070 

The safety switch arrangement includes two evaluation channels (2) connecting a 
source of electrical power to hazard working medium operating equipment, with the 
connection controlled by a sensor. Each evaluation channel includes a semiconductor 
actuator (3) connected via two bidirectional supply lines to a series-connected 
processing unit (4). The first line (5a, 5b) carries switching impulses from the 
processing unit to the actuator.The second line (6a, 6b) carries test impulses from the 
processing unit to test the functional ability of the actuator. The operating equipment is 
not affected by the test impulses since they are short and the inertia of the operating 
equipment is large. The functional capability of the processing units is also tested by 
bidirectional lines carrying a test impulses (5) between them. 
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Prufungsantrag gem. § 44 PatG ist gesteilt 
@ Sicherheitsschalteranordnung 

(§7) Die Erflndung betrifft eine Sicherheitsschalteranordnung 
(1) zum Eln- und Ausschalten der Stromversorgung eines 
Arbeitsmittels mittels eines Sensorsignals, welches dem 
Arbeitsmittel uber zwei Auswertekanale (2) mit jeweils 
einem Aktor zugefuhrt wird. Die Aktoren (3) weisen aus 
Halbleiterelementen bestehende schalterartige Mittei auf. 
Jedem Aktor (3) ist eine Rechnereinheit (4) vorgeschaltet 
die mit dem Aktor (3) Qber zwei bidirektionale Zuleitungen 
(5a, 5b, 6a, 6b) verbundan ist, wobei uber die erste Zuleitung 
(5a, 5b) rucklesbar Schaltimpulse (5a, 5b) von der Rechner- 
einheit (4) zum Aktor (3) ubertragen warden, und wobei uber 
die zweite Zuleitung (6a, 6b) rQcklesbar Testimpulse von der 
Rechnereinheit (4) zum Aktor (3) zu dessen FunktionsQber- 
prufung ubertragen warden. Die Rechnereinheiten (4) slnd 

m uber eine bidirektionale Zuleitung (5) zu deren Funktions- 
QberprOfung verbunden. Von den Rechnereinheiten (4) wer- 

£ den zur FunktionsQberprOfung der Aktoren (3) die Schaltzu- 
standa der schalterartigan Mittei so kurzzeitig geindert, daS 

> sich der Betriebszustand des Arbeitsmittels sufgrund seiner 

* TrSgheit nicht andert. 
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Beschreibung 

Die Erfindung betrifft eine Sicherheitsschalteranord- 
nung gemaB dem Oberbegriff des Anspruchs 1. 

Derartige Sicherheitsschalteranordnungen werden 
insbesondere bei gefahrbringenden Arbeitsmitteln ein- 
gesetzt Die Arbeitsmittel konnen von Arbeitsmaschi- 
nen gebildet sein, von denen eine Gefahrdung des Be- 
dienpersonals ausgeht Urn eine ungewollte und gege- 
benenf alls gefahrbringende Aktivierung des Arbeitsmit- 
tels zu verhindern, ist die Zufuhrung des Sensorsignals 
zum Arbeitsmittel zweikanalig ausgelegt Das Sensorsi- 
gnal kann von einer Lichtschranke geliefert werden, die 
beispielsweise den Vorraum des Arbeitsmittels Gber- 
wacht Ist der Strahlengang der Lichtschranke frei, d li- 
es befindet sich keine Person im Strahlengang, wird 
durch das Sensorsignal das Arbeitsmittel eingeschaltet 

Zur Erhohung der Betriebssicherheit der Anordnung 
wird das Sensorsignal dem Arbeitsmittel uber zwei Aus- 
wertekanale mit jeweils einem Schalter und einem Ak- 
tor zugefuhrt Dabei wird das Arbeitsmittel nur dann 
aktiviert, wenn beide Aktoren aktiviert sind 

Durch diese MaBnahme ist gewahrleistet, daB bei 
Fehlfunktion innerhalb eines Auswertekanals, beispiels- 
weise durch einen KurzschluB, das Arbeitsmittel nicht 
unkontrolliert aktiviert wird 

Eine Sicherheitsschalteranordnung der eingangs ge- 
nannten Art ist in der DE-OS 42 42 792 beschrieben. Die 
Aktoren sind bei dieser Anordnung vorzugsweise von 
Relais gebildet Jedem Relais ist ein steuerbarer Hilfs- 
schalter und ein Hauptschalter vorgeschaltet Bei Anle- 
gen eines SensorschlieB-Signals ist der Hauptschalter 
bestimmungsgemaB ebenfalls geschlossen. Der Hilfs- 
schalter wird von einem Testgenerator zur Schaffung 
einer Testpause in regelmaBigen Zeitabstanden zeitver- 
setzt zu dem anderen Hilfsschalter so kurzzeitig gedff- 
net, daB die dadurch bewirkte kurzzeitige Offnung des 
zugeordneten Hauptschalters aufgrund der Tragheit 
der Relais nicht ausreicht, das angeschlossene Arbeits- 
mittel auBer Betrieb zu setzen. 

Mittels einer Testschaltung wird wahrend der Test- 
pause uberpruft, ob bei Nichtdffnung eines Hauptschal- 
ters der jeweils andere Hilfsschalter in den Offnungszu- 
stand gesetzt und dauerhaft in diesem gehalten wird 
Mittels dieser Anordnung ist das Erkennen von Fehlern 
insbesondere in den beiden Hauptschaltern gewahrlei- 
stet 

Der zur Realisierung dieser Sicherheitsschalteranord- 
nung erforderliche Schaltungsaufwand ist erheblich. 
Ferner ist die Anordnung hauptsachlich zur Funktions- 
uberprufung von Relais konzipiert Der Einsatz von Re- 
lais ist mit dem Nachteil behaftet, daB deren Kontakte 
verschleiBanfallig sind, was haufige Serviceeinsatze mit 
sich bringt 

Der Erfindung liegt die Aufgabe zugrunde, eine Si- 
cherheitsschalteranordnung so auszubilden, daB diese 
eine mdglichst geringe VerschleiBanfalligkeit aufweist 
und daB diese mit moglichst geringem Schaltungsauf- 
wand vollstandig auf ihre Funktionssicherheit uberpriif- 
barist 

Zur Losung dieser Aufgabe sind die Merkmale des 
Anspruchs 1 vorgesehen. ZweckmaBige Ausfuhrungs- 
formen und vorteilhafte Weiterbildungen der Erfindung 
sind in den Anspruchen 2 — 15 beschrieben. 

ErfindungsgemaB weisen die Aktoren aus Halbleiter- 
elementen bestehende schalterartige Mittel auf. Diese 
Halbleiterelemente weisen im Gegensatz zu Relais kei- 
ne verschleiBanfalligen Kontakte auf. 
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Zur DurchfOhrung der Funktionsuberprufung der 
Aktoren ist in jedem Auswertekanal eine Rechnerein- 
heit vorgesehen, wobei jede Rechnereinheit Qber zwei 
bidirektionale Zuleitungen mit dem Aktor verbunden 
5 ist Die Rechnereinheiten, die vorzugsweise als Control- 
ler ausgebildet sind, konnen als Standardprodukte ko- 
stengunstig ohne zusatzlichen Schaltungsaufwand den 
Aktoren vorgeschaltet werden. In einer Vielzahl von 
Sensoren sind bereits Rechnereinheiten zur Steuerung 

io der Sensorfunktionen integriert In diesem Fall kbnnen 
diese Rechnereinheiten die fGr die Sicherheitsschalte- 
ranordnung notwendigen Funktionen zusatzlich abar- 
beiten, so daB der Schaltungsaufwand des Sensors wei- 
ter reduziert wird 

is Zur Oberwachung der Rechnereinheiten sind diese 
fiber eine bidirektionale Zuleitung verbunden. 

Die komplette Ansteuerung und FunktionsUberwa- 
chung der Aktoren erfolgt zentral in den Rechnerein- 
heiten. Damit die Funktionsuberwachung von der Ober- 

20 mittlung der Sensorschaltsignale physikalisch getrennt 
ist, sind erfindungsgemaB zur Obermittlung der Schalt- 
impulse des Sensors und zur Obermittlung von Testim- 
pulsen zur Funktionsuberprufung von der Rechnerein- 
heit an den Aktor separate bidirektionale Zuleitungen 

25 vorgesehen, was die Funktionssicherheit der Anord- 
nung erhdht Die bidirektionalen Zuleitungen Qbertra- 
gen die Schaltimpulse und Testimpulse nicht nur an den 
Aktor sondern erhalten von diesem eine RQckmeldung. 
Aus dieser RQckmeldung werden zusatzlich Informatio- 

30 nen gewonnen, ob die Funktionen des Aktors und der 
Zuleitungen fehlerfrei sind Aufgrund der verschiedenen 
Ruckmeldungen konnen eventuell auftretende Fehler 
schnell und sicher lokalisiert und klassifiziert werden. 
Zur Funktionsuberprufung der Sicherheitsschalteran- 

35 ordnung werden von den Rechnereinheiten kurzzeitig 
die Schaltzustande geandert und die Ruckmeldungen in 
die Rechnereinheiten dahin uberpruft, ob die Funktio- 
nen der Auswertekanale und der Aktoren fehlerfrei 
sind Diese Anderung der Schaltzustande erfolgt so 

40 kurzzeitig, daB sich der Betriebszustand des Arbeitsmit- 
tels nicht andert, Ah. der Betrieb des Arbeitsmittels 
wird durch die Funktionsfiberprfifung nicht beeintrach- 
tigt Ein weiterer Vorteil dieser Anordnung besteht dar- 
in, daB die Parameter der Funktionsuberprufung uber 

45 die Rechnereinheiten einfach einstellbar sind 

Vorteilhafterweise sind die bidirektionalen Zuleitun- 
gen gemaB Anspruch 2 von jeweils einer Signalleitung 
zum Aktor und von einer Ruckleseleitung, die zur Rech- 
nereinheit fiihrt, gebildet 

50 GemaB einer Anspruch 3 ist die Ruckleseleitung eines 
Auswertekanals nicht nur zu der Rechnereinheit des 
entsprechenden Auswertekanals sondern auch auf die 
zweite Rechnereinheit gefuhrt Dadurch kann ein Quer- 
schluB der Auswertekanale auf einfache Weise erkannt 

55 werden. 

GemaB Anspruch 4 ist die Hardware der Rechnerein- 
heiten identisch aufgebaut, so daB diesbezQglich eine 
homogene Redundanz geschaf fen ist Entsprechend sind 
in den Rechnereinheiten die Steuerprogramme unter- 
60 schiedlich ausgebildet, so daB die Software der Rechner- 
einheiten diversitar ausgebildet Auf diese Weise wird 
verhindert, daB ein in den Rechnereinheiten identisch 
auf tretender Fehler nicht erkannt wird 

Die Erfindung wird im nachstehenden anhand der 
65 Zeichnungen erlautert Es zeigen 

Fig, 1 Ein Blockschaltbild der Sicherheitsschalteran- 
ordnung, 

Fig. 2 Bin BlockschaltbUd des Aktors, 
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Fig. 3 Bin Impulsdiagramm der Signalzustande der 
bidirektionalen Zuleitungen, 

a) bei inaktivem Zustand des Sensors 

b) bei aktivem Zustand des Sensors. 

In Fig. 1 zeigt eine Sicherheitsschalteranordnung 1 
zum Ein- und Ausschalten der Stromversorgung eines 
nicht dargestellten Arbeitsmittels. Das Ein- und Aus- 
schalten des Arbeitsmittels erfolgt mittels eines Sensor- 
signals S. Der Sensor ist vorzugsweise als Lichtschranke 
ausgebiidet, in dessen Gehause die komplette Sicher- 
heitsschalteranordnung integriert ist 

Der Sensor kann beispielsweise zur Oberwachung ei- 
nes Schutzfeldes im Bereich des Arbeitsmittels einge- 
setzt werden. Er weist zwei Signalzustande auf, namlich 
Schutzfeld frei (Sensor aktiv) und Schutzfeld nicht frei 
(Sensor inaktiv). 

Das binare SensorsignaJ S wird den beiden Auswer- 
tekanalen 2 der Sicherheitsschalteranordnung 1 zuge- 
ffihrt In jedem Auswertekanal ist ein Aktor 3 mit aus 
Halbleiterelementen bestehenden schalterartigen Mit- 
teln vorgesehen. Dem Aktor 3 ist eine Rechnereinheit 4 
vorgeschaltet, die als Controller, vorzugsweise als Mi- 
crocontroller, ausgebiidet ist 

Die Rechnereinheiten 4 sind fiber eine bidirektionale 
Zuleitung 5 gekoppelt Die bidirektionale Zuleitung 5 ist 
in Form zweier Handshake-Leitungen ausgebiidet Die 
Hardware der Controller ist identisch aufgebaut, w§h- 
rend deren Software unterschiedlich ausgebiidet ist Be- 
zfiglich der Hardware sind die Controller demzufolge 
homogen redundant aufgebaut, wahrend die Software 
diversitar ausgebiidet ist Die Ein- und Ausgangssignale 
liegen bei den Controllern auf unterschiedlichen 
Schnittstellenelementen (Ports). Auf diese Weise ist ge- 
wahrleistet, daB Systemfehler, beispielsweise Ferti- 
gungsfehler, die in den beiden Controllern gleicherma- 
Ben vorhanden sind, bei deren Betrieb sofort in den 
Rechnereinheiten 4 aufgrund des unterschiedlichen An- 
sprechverhaltens der Rechnereinheiten 4 aufgedeckt 
werden. Hierzu wird fortlaufend eine gegenseitige Ab- 
frage der Rechnereinheiten 4 uber die Handshake-Lei- 
tungen durchgefiihrt 

Zur Funktionsuberprufung des Aktors 3 ist diese mit 
der Rechnereinheit 4 uber zwei bidirektionale Zuleitun- 
gen 5a, 5b und 6a, 6b gekoppelt Ober die erste Zulei- 
tung 5a, 5b werden rficklesbar die Schaltimpulse, die 
dem aktuellen Signalzustand des Sensors entsprechen, 
an den Aktor 3 ubertragen. Ober die zweite Zuleitung 
6a, 6b werden Testimpulse an den Aktor 3 zu dessen 
Funktionsuberprufung ubertragen. Die bidirektionalen 
Zuleitungen 5a, 5b, 6a, 6b bestehen jeweils aus einer 
Signalleitung 5a, 6a zur Obertragung von Inf ormationen 
an den Aktor 3 und einer Rflckleseleitung 5b, 6b zur 
Rilckmeldung vom Aktor 3 an die Rechnereinheit 4. 
Von jeder Rflckleseleitung 5b, 6b zweigt eine zweite 
Rflckleseleitung 6c zur Rechnereinheit 4 des jeweils an- 
deren Auswertekanals 2 ab. Durch Auswertung der 
uber die Rflckleseleitung 6c eintreffenden Information 
kdnnen Querschlflsse zwischen verschiedenen Leitun- 
gen erkannt werden. 

Jeder Aktor 3 weist einen Schaltausgang 7 auf. Nur 
wenn beide Schaltausgange 7 aktiv sind, d. h. wenn bei- 
de Schaltausgange 7 den Signalzustanden "Schaltfeld 
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schalterartige Mittel bildet Dieser Transistor 8 ist als 
PNP-Transistor ausgebiidet und mit einem zweiten 
Transistor 9 zur Funktionsuberwachung, der als NPN- 
Transistor ausgebiidet ist, in Reihe geschaltet Der 
Schaltausgang 7 zweigt von der Zuleitung zwischen den 
beiden Transistoren 8, 9 ab. Das schalterartige Mittel ist 
uber einen Widerstand 10 und eine Sicherung 10' an die 
Versorgungsspannung Ub angeschlossen, der zweite 
Transistor 9 ist uber einen Widerstand 1 1 auf das Masse- 
potential GND gef flhrt 

Zum AnschluB der Signalleitungen 5a, 6a weist der 
Aktor 3 Empfangselemente 12, 13 auf, die von NPN- 
Transistoren aufweisenden Optokopplern gebildet sind. 
Das Empfangselement 12 zum AnschluB der Signallei- 
tung 5a zur Obertragung der Schaltimpulse ist fiber 
einen Widerstand 14 an die Versorgungsspannung Ub 
angeschlossen und fiber einen Widerstand 15 mit dem 
schalterartigen Mittel verbunden. Das Empfangsele- 
ment 13 zum AnschluB der Signalleitung 6a zur Funk- 
tionsuberprufung der Aktoren 3 ist fiber einen Wider- 
stand 16 an den NPN-Transistor 9 angeschlossen und 
fiber einen zweiten Widerstand 17 auf das Massepoten- 
tial GND geffihrt 

Zum AnschluB der Rfickleseleitungen 5b, 6b, weist 
25 der Aktor 3 Sendeelemente auf, die von Optokopplern 
18, 19 gebildet sind. Dem Optokoppler 18 fur die erste 
Rflckleseleitung 5b ist ein Widerstand 20 und ein PNP- 
Transistor 21 vorgeschaltet, dessen Basis uber einen 
weiteren Widerstand 22 auf die Zuleitung zwischen dem 
Widerstand 10 und dem schalterartigen Mittel geffihrt 
ist 

Der zweite Optokoppler 19 ist fiber einen NPN-Tran- 
sistor 23, auf dessen Basis ein Widerstand 24 geffihrt ist, 
mit dem Massepotential GND verbunden. Der Wider- 
stand 24 ist auf die Zuleitung zwischen dem Widerstand 
11 und dem Transistor 9 geffihrt Dem Optokoppler 19 
ist ein Widerstand 25 vorgeschaltet, der auf die Versor- 
gungsspannung Ub geffihrt ist 

Die Funktion der Sicherheitsschalteranordnung 1 
wird im folgenden anhand der Impulsdiagramme 
(Fig. 3a, b) erlautert Fig. 3a zeigt den Fall, daB der Sen- 
sor im inaktiven Zustand ist, Fig. 3b zeigt dem Fall, daB 
der Sensor im aktiven Zustand ist 

Das schalterartige Mittel des Aktors 3 wird fiber den 
Transistor 12 angesteuert Der das Empfangselement 
bildende Transistor des Empfangselements 12 wieder- 
um wird fiber die Rechnereinheit 4 fiber die Signallei- 
tung 5a angesteuert Wird fiber diese Signalleitung 5a 
der Signalzustand "Sensor inaktiv" fibertragen, reicht 
die am Transistor des Empfangselements 12 anliegende 
Spannung nicht aus, damit der das schalterartige Mittel 
bildende Transistor 8 leitend wird, so daB der Schaltaus- 
gang 7 ebenfalls inaktiv bleibt Dieser Fall ist als An- 
fangsbedingung im 1. Zeitintervall in Fig. 3a dargestellt, 
wobei der Signalzustand "0" dem Signalzustand "inaktiv" 
entspricht 

Gleichzeitig wird von der Rechnereinheit 4 wahrend 
des Zeitdntervalls "1* die Signalleitung 6a aktiviert Die 
Rfickleseleitungen 5b, 6b bleiben wahrend des Zeitinter- 
valls "1" inaktiv. 

Wird der Sensor in den aktiven Zustand versetzt, wird 
von der Rechnereinheit 4 der Signalzustand "V fiber die 
Signalleitung 5a an den Transistor des Empfangsele- 
ments 12 fibertragen, wodurch der Transistor 8 leitend 
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frei" des Sensors entsprechen, wird das Arbeitsmittel 65 wird und der Schaltausgang 7 aktiviert wird (Fig. 3b, 1. 

eingeschaltet Zeitintervall). 

In Fig. 2 ist ein Blockschaltbild eines Aktors 3 darge- Gleichzeitig wird die Signalleitung 6a fiber die Rech- 

stellt Der Aktor 3 weist einen Transistor 8 auf, der das nereinheit inaktiviert, die Rfickleseleitungen 5b, 6b blei- 
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ben ebenf alls im inaktiven Zustand 

Die Signalzustande im Zeitintervall °\° und ebenso in 
den Zeitintervailen "7" und n B° in Fig. 3a, b entsprechen 
dem Normalbetrieb der Sicherheitsschalteranordnung 
1. Mit Hilfe des Widerstands 10 kann der Strom durch 5 
den Transistor 8 uberwacht werden. Obersteigt der 
Spannungsabfall am Widerstand 10 die Basis-Emitter- 
spannung am Transistor 21 wird dieser leitend wodurch 
ein KurzschluB bewirkt werden kann. Dies wird durch 
einen Signalwechsel am Optokoppler 18 uber die Ruck- 10 
leseleitung 5b an die Rechnereinheit 4 zuruckgemeldet 

Urn ein eventuelles gleichzeitiges Versagen der in 
Reihe geschalteten Transistoren 8, 9 aufgrund von 
Oberspannung und Oberstrom aufdecken zu konnen, 
sind diese komplementar geschaltet, d h. ein Transistor 15 
8 oder 9 ist leitend wahrend der andere Transistor 9 
oder 8 sperrt 

Zur weiteren FunktionsOberprufung ist die Sicherung 
10 / in der Schaltungsanordnung des Aktors 3 vorgese- 
hen. Im Falle des Versagens des Transistors 8 wird die 20 
Sicherung 10' durch Einschalten des Transistors 9 zum 
Ansprechen gebracht, wodurch der Schaltausgang 7 in- 
aktiviert wird, d. h. in den sicheren Zustand ubergeht, da 
dadurch das Arbeitsmittel ausgeschaltet wird. In diesem 
Zustand wird der Schaltausgang 7 bis zum Abschalten 25 
der Versorgungsspannung Ub gehalten. 

Die vorgenannten FunktionsprOfungen erfolgen fort- 
laufend wahrend der gesamten Betriebsdauer der Si- 
cherheitsschalteranordnung 1. Zusatzlich sind zyklische 
Funktionsflberprufungen vorgesehen, die in den Fig. 3a, 30 
b in den Zeitintervailen n T bis % n dargestellt sind 

Zur zyklischen Funktionsuberwachung werden die 
Signalzustande der Signalleitungen 5a, 6a kurzzeitig ge- 
andert Die einzelnen Zeitintervalle "2" bis "6" liegt im 
Bereich von 50—150 us. Diese Zeitintervalle sind somit 35 
so kurz, daB die innerhalb dieser Intervalle durchgefuhr- 
ten Anderungen der Signalleitungen 5a, 6b aufgrund der 
Tragheit des Arbeitsmittels keine Anderung dessen Be- 
triebszustandes bewirken kdnnen. Die Wiederholdauer 
der zyklischen Funktionsflberwachung liegt im Bereich 40 
5—15 ms, vorzugsweise betragt sie 10 ms. Besonders 
vorteilhaft ist, daB die zyklische FunktionsOberwachung 
von den Rechnereinheiten 4 gesteuert wird Ober die 
Software in den Rechnereinheiten 4 kann die Wieder- 
holdauer der zyklischen Funktionsuberwachung variiert 45 
werden, beispielsweise urn eine Oberiastung der Rech- 
nereinheiten 4 zu vermeiden. Die Variation der Wieder- 
holdauer erfolgt zweckmaBigerweise durch Einfugen 
von Pausen zwischen den einzelnen Testabschnitten 
(Zeitintervalle T bis "6" in Fig. 3a, 3b). 50 

In Fig. 3a ist in den Zeitintervailen "2" bis "6° die zykli- 
sche Funktionsuberwachung fur den Signalzustand 
"Sensor inaktiv" im fehlerfreien Fall dargestellt Im nor- 
malen Betriebszustand (Zeitintervall "1") ist die Signal- 
leitung 5a inaktiv, die Signalleitung 6a aktiv, wahrend 55 
die ROckleseleitungen 5b, 6b inaktiv sind Wahrend der 
Zeitintervalle "2, 3" erfolgt die FunktionsOberprufung 
des ersten Auswertekanals 2, wonach eine Pause (Zeit- 
intervall w 4") folgt Danach fmdet wahrend der Zeitinter- 
valle M 5, 6" die FunktionsOberprufung des zweiten A us- 60 
wertekanals 2 statt AbschlieBend arbeitet die Sicher- 
heitsschalteranordnung 1 wieder im Normalbetrieb 
(Zeitintervalle *7, 8") bis die zyklische FunktionsOber- 
prufung von neuem gestartet wird 

Im Zeitintervall "T wird neben der Signalleitung 6a 65 
auch die Signalleitung 5a kurzzeitig aktiviert, wodurch 
im fehlerfreien Betrieb die ROckleseleitungen 5b, 6b ak- 
tiviert werden. Durch diesen Test wird die Versorgungs- 
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spannung Ub oder ein SchluB gegen Masse (GND) 
GberprOft Zudem kann eine fehlerhafte ROckmeldung 
der Riickleseleitungen 5b, 6b durch einen QuerschluB 
zwischen den Auswertekanalen bedingt sein. Desweite- 
ren kann im Fehlerf all ein Fehler direkt in den Riicklese- 
leitungen 5b, 6b oder den Sendeelementen vorliegen. 

Im Zeitintervall "3" wird die Signalleitung 5a aktiviert, 
die Signalleitung 6a deaktiviert Im fehlerfreien Fall sind 
die Riickleseleitungen 5b, 6b inaktiv. Wird im Fehlerfall 
die RGckleseleitung 5b aktiv, liegt ein Fehler im Transi- 
stor 13 vor oder der Schaltausgang 7 ist gegen Masse 
(GND) kurzgeschlossen. 

Im Zeitintervall "4" wird der normale Betriebszustand 
wie in Zeitintervall "1" eingestellt Die Dauer dieser Pau- 
se kann von den Rechnereinheiten 4 variabel vorgege- 
ben werden. 

Wahrend der Zeitintervalle "5, 6" erfolgt die OberprO- 
fung des zweiten Auswertekanals 2 auf dieselbe Weise 
wie fur den ersten AuswertekanaL 

In Fig. 3b ist in den Zeitintervailen "2" bis "6" die 
zyklische Funktionsuberwachung fur den Signalzustand 
"Sensor aktiv" im fehlerfreien Fall dargestellt 

Im normalen Betriebszustand (Zeitintervall 19 V*) ist die 
Signalleitung 5a aktiv, die Signalleitung 6a inaktiv, wah- 
rend die ROckleseleitungen 5b, 6b inaktiv sind 

Wahrend der Zeitintervalle "2, 3" erfolgt die Funk- 
tionsOberprufung des ersten Auswertekanals 2, wonach 
eine Pause folgt (Zeitintervall "4"). Danach findet wah- 
rend der Zeitintervalle "5, 6" die FunktionsOberprufung 
des zweiten Auswertekanals 2 statt AnschlieBend arbei- 
tet die Sicherheitsschalteranordnung 1 wieder im Nor- 
malbetrieb (Zeitintervall *7 t 8^). 

Im Zeitintervall "T wird die Signalleitung 5a deakti- 
viert und die Signalleitung 6a aktiviert Im fehlerfreien 
Fall bleiben die Ruckleseleitungen 5b, 6b inaktiv. Ist dies 
nicht der Fall, so liegt ein SchluB gegen die Versor- 
gungsspannung Ub vor oder der Transistor 12 ist durch- 
legiert 

Im Zeitintervall "3" sind die Signalleitungen 5a, 6a 
aktiv. Im fehlerfreien Fall mussen dann auch die Ruckle- 
seleitungen 5b, 6b aktiv sein. Ist dies nicht der Fall, so ist 
die Spannungsversorgung (Ub) fehlerhaft oder es liegt 
ein SchluB gegen Masse (GND) vor. Desweiteren kann 
ein Fehler direkt in den Ruckleseleitungen 5b, 6b oder in 
den Sendeelementen vorliegen. 

Im AnschluB dann folgt wiederum eine Pause (Zeitin- 
tervall n 4*% worauf der zweite Auswertekanal 2 uber- 
pruft wird (Zeitintervalle "5, 6"), die wiederum mit der 
Uberprufung des ersten Auswertekanals 2 identisch ist 

Patentanspriiche 

1. Sicherheitsschalteranordnung zum Ein- und Aus- 
schalten der Stromversorgung eines Arbeitsmittels 
mittels eines Sensorsignals, welches dem Arbeits- 
mittel uber zwei Auswertekanale mit jeweils einem 
Aktor zugefOhrt wird dadurch gekennzeichnet, 
daB die Aktoren (3) aus Halbleiterelementen beste- 
hende schalterartige Mittel aufweisen, daB jedem 
Aktor (3) eine Rechnereinheit (4) vorgeschaltet ist, 
die mit dem Aktor (3) uber zwei bidirektionale Zu- 
leitungen (5a, 5b, 6a, 6b) verbunden ist, wobei Uber 
die erste Zuleitung (5a, 5b) rQcklesbar Schaltimpul- 
se von der Rechnereinheit (4) zum Aktor (3) uber- 
tragen werden und dort einen Schaltvorgang auslo- 
sen, und wobei uber die zweite Zuleitung (6a, 6b) 
rQcklesbar Testimpulse von der Rechnereinheit (4) 
zum Aktor (3) zu dessen FunktionsOberprufung 
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Qbertragen werden, daB die Rechnereinheiten (4) 
uber eine bidirektionale Zuleitung (5) zu deren 
Funktionsflberprufung verbunden sind, und daB 
von den Rechnereinheiten (4) zur Funktionsuber- 
prufung der Aktoren (3) die Schaltzustande der 5 
schalterartigen Mittel so kurzzeitig geandert wer- 
den, daB sich der Betriebszustand des Arbeitsmit- 
tels aufgnind seiner Tragheit nicht andert 

2. Sicherheitsschalteranordnung nach Anspruch 1, 
dadurch gekennzeichnet daB die bidirektionalen 10 
Zuleitungen (5a, 5b, 6a, 6b) jeweils von einer Signal- 
leitung (5a, 6a), uber die Informationen von einer 
Rechnereinheit (4) ausgesendet werden, und einer 
Ruckleseleitung (5b, 6b), uber die Informationen in 
die Rechnereinheit (4) zuruckgelesen werden, ge- 15 
bildet sind. 

3. Sicherheitsschalteranordnung nach Anspruch 2, 
dadurch gekennzeichnet, daB die von der Rucklese- 
leitung (5b, 6b) jeweils eine zweite Ruckleseleitung 
(6c) zur Rechnereinheit (4) des jeweils anderen 20 
Auswerteelements (2) abzweigt 

4. Sicherheitsschalteranordnung nach einem der 
Anspruche 1—3, dadurch gekennzeichnet, daB die 
Rechnereinheiten (4) von identisch aufgebauten 
Controllern gebildet sind, auf denen unterschiedli- 25 
che Steuerprogramme installiert sind 

5. Sicherheitsschalteranordnung nach einem der 
Anspruche 1—4, dadurch gekennzeichnet, daB die 
schalterartigen Mittel in den Aktoren (3) von je- 
weils einem Transistor (8) gebildet sind. 30 

6. Sicherheitsschalteranordnung nach Anspruch 5, 
dadurch gekennzeichnet, daB der das schalterartige 
Mittel bildende Transistor (8) mit einem zweiten 
Transistor (9) in Reihe geschaltet ist, so daB jeweils 
ein Transistor (8, 9) leitend ist, wahrend der andere 35 
nicht leitend ist. 

7. Sicherheitsschalteranordnung nach Anspruch 6, 
dadurch gekennzeichnet, daB der das schalterartige 
Mittel bildende Transistor (8) uber eine Sicherung 
(10') an die Versorgungsspannung (Ub) des Aktors 40 
(3) angeschlossen ist 

8. Sicherheitsschalteranordnung nach einem der 
Anspruche 1—7, dadurch gekennzeichnet, daB die 
Aktoren (3) zum AnschluB der Signalleitungen (5a, 
6a) Empfangselemente (12, 13) bildende Optokopp- 45 
ler aufweisen. 

9. Sicherheitsschalteranordnung nach einem der 
Anspruche 1—8, dadurch gekennzeichnet, daB die 
Aktoren (3) zum AnschluB der Ruckleseleitungen 
(5b, 6b) Sendeelemente bildende Optokoppler (18, 50 
19) aufweisen. 

10. Sicherheitsschalteranordnung nach einem der 
Anspruche 1—9, dadurch gekennzeichnet, daB die 
die Rechnereinheiten (4) verbindende bidirektiona- 
le Zuleitung (5) von zwei Handshake- Leitungen ge- 55 
bildet ist 

11. Sicherheitsschalteranordnung nach einem der 
Anspruche 1 — 10, dadurch gekennzeichnet, daB zur 
Funktionsuberpriifung der Aktoren (3) uber die bi- 
direktionalen Zuleitungen (5a, 5b, 6a, 6b) zyklisch eo 
binare Signalfolgen mit den Signalzustanden "ak- 
uV und "inaktiv" gesendet werden, wobei die Wie- 
derholdauer der zyklischen Funktionsuberpriifung 
im Bereich von 5— 15 ms liegt 

12. Sicherheitsschalteranordnung nach Anspruch 65 
11, dadurch gekennzeichnet, daB zur Funktions- 
tiberprufung in jedem Auswertekanal (2) nachein- 
ander Signalzustande der Signalleitungen (5a, 6a) 
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verandert werden und die dadurch bewirkten Si- 
gnalanderungen an dem Ruckleseleitungen (5b, 6b) 
in den Rechnereinheiten (4) zur FunktionsOberpru- 
fung der Aktoren (3) verwendet werden. 

13. Sicherheitsschalteranordnung nach Anspruch 
12, dadurch gekennzeichnet daB die Dauer der An- 
derungen der Signalzustande der Signalleitungen 
(5a, 6a) und die dadurch bewirkte Dauer der Schalt- 
zustandsanderungen der schalterartigen Mittel je- 
weils im Bereich von 50—150 \is liegt 

14. Sicherheitsschalteranordnung nach Anspruch 
12 oder 13, dadurch gekennzeichnet, daB die Pau- 
sen zwischen Funktionsuberprufungen der beiden 
Auswertekanale durch die Rechnereinheiten (4) 
vorgebbar sind. 

15. Sicherheitsschalteranordnung nach einem der 
Anspruche 1 — 14, dadurch gekennzeichnet daB 
diese in dem das Sensorsignal liefernden Sensor 
integriert ist 
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